企业级免密认证系统开发实践

来源:网络空间安全
关键字:免密认证,身份识别,强口令
发布时间:2019-02-01 11:14

　　摘要：论文提出了一种基于企业级内外网应用场景的非涉密登录关键技术——“身份口令扫码识别”复合技术，避免在一个平台下面同时获取帐号、密码问题，同时避免在输入过程中出现帐号密码明文的问题。在使用过程中无需用户输入用户账号和密码，通过“手机扫码+动态数字”方式验证，一键完成认证登录企业应用。

　　关键词：免密认证；身份识别；强口令；软件开发

　　中图分类号：TP393 文献标识码：A

　　1引言

　　随着企业信息化的不断发展，越来越多的应用在企业中构建和运行，然而，截至现在大多数企业应用都是采用传统的账号和密码进行系统认证登录，对于系统使用者来说，需要记住很多系统的密码，并且由于国家在信息安全方面的严格要求，很多交易类的系统在信息安全方面的要求尤为严格，因此，用户需要记住很多系统的复杂密码来登录登录系统，并且需要按要求进行密码过期修改和提醒。对于管理员来说，必须承担保护密码的责任，一旦密码泄漏，对企业应用的业务和信誉都是巨大打击。另外目前网络上存在大量的进程盗号木马、键盘记录木马、远程控制木马、会话劫持木马、钓鱼程序等盗号程序，大量的账号密码丢失，造成了非常大的危害。

　　2企业级免密认证系统需求

　　企业无密认证解决方案能够解决传统以密码为核心的认证体系的诸多问题，解决传统密码问题，是企业完成认证体系升级，实现去密码化的关键。方案主要基于移动及生物识别技术，提供如扫码、指纹验证、动态口令等多种认证方式，解决如下问题：

　　1)账号密码使用安全；

　　2)账号密码无法被盗取；

　　3)服务器账号密码库安全；

　　4)简捷快速安全登录；

　　5)内外网数据安全隔离。

　　2.1技术难点

　　1)如何将用户在移动端的身份与内网身份进行绑定，关系着用户使用门槛、便捷性的重要问题，鉴于所有用户信息其实都存在于企业的内部网络，且与互联网物理隔离，内外身份的绑定是关键。

　　2)如何穿透内外网，在内外网物理隔离的情况下，需要将所有请求转换成SQL数据，再由内网权威身份中心处理后完成。

　　3)如何保证数据安全，需要设计身份中转器，实现用户的内网帐号信息及实名用户信息不曝露在DMZ区、外网。

　　2.2用户角色

　　免密认证系统主要解决用户登录的便捷性、安全性问题，同时解决企业的密码管理难题，系统角色方包括普通用户、系统运维管理员、业务支持管理员、审计管理员。

　　3企业级免密认证系统的设计

　　3.1架构设计

　　本文提出了一种基于企业内外网场景的非涉密登录关键技术“身份口令扫码身份识别”复合技术，克服了现有技术的困难，避免在一个平台下面同时获取帐号、密码问题，在输入过程中出现帐号密码明文的问题，在使用过程中无需用户输入用户账号和密码，通过“手机扫描+动态数字”方式完成认证，更加快捷、安全的登录企业应用系统。

　　1)在个人移动设备上通过扫描二维码，并且通过个人手机发送短信完成用户身份信息的绑定。

　　2)用户扫描登录二维码，手机会将安全认证码以及个人手机信息通过国密加密算法发送至移动交互平台。

　　3)移动交互平台根据传递过来的二维码个人信息，判断用户是扫描的内网还是外网认证服务，进行路由策略匹配。

　　4)如果是扫描外网的二维码会请求外网权限平台认证服务，相反扫描内网则通过隔离装SQL穿透到内网数据库。

　　5)内网认证服务通过解析读取内网数据库完成认证服务流程。

　　6)如果认证成功进入内网应用，认证失败，返回错误信息。

　　4企业级免密认证系统的关键技术

　　1)内外网安全交互技术

　　互联网与外网边界：通过统建外网安全交互平台，实现移动应用的身份认证、访问控制、传输加密以及应用过滤。

　　外网与内网边界：通过统建安全隔离装置，基于数据库代理访问实现内外网数据安全交互。

　　2)会话交互技术

　　通过移动互联支撑平台提供的第三方安全加固技术，实现客户端应用防逆向、防篡改、反调试保护。与服务端接口交互采用安全token认证，对交互数据长度类型进行安全校验。